查看服务器用户登陆情况

最新推荐文章于 2023-10-02 08:30:00 发布
最新推荐文章于 2023-10-02 08:30:00 发布
阅读量2.6k 收藏 2
点赞数
分类专栏： 服务器安全

文章来源：http://blog.csdn.net/sasoritattoo/article/details/9319509



1.使用w显示当前登陆系统的用户，包括非法用户。

语法：w [-fhlsuV][用户名称]

linux w 命令补充说明：执行这项指令可得知目前登入系统的用户有那些人，以及他们正在执行的程序。单独执行linux w 命令会显示所有的用户，您也可指定用户名称，仅显示某位用户的相关信息。

命令参数：

-f 　开启或关闭显示用户从何处登入系统。

-h 　不显示各栏位的标题信息列。

-l 　使用详细格式列表，此为预设值。

-s 　使用简洁格式列表，不显示用户登入时间，终端机阶段作业和程序所耗费的CPU时间。

-u 　忽略执行程序的名称，以及该程序耗费CPU时间的信息。

-V 　显示版本信息。

以上是linux w 命令详解。（摘自http://os.51cto.com/art/200908/144244.htm）


2.使用last显示目前与过去登入系统的用户相关信息

1.作用

功能说明：列出目前与过去登入系统的用户相关信息。
linux系统中last命令的作用是显示近期用户或终端的登录情况，它的使用权限是所有用户。通过last命令查看该程序的log，管理员可以获知谁曾经或企图连接系统。

2.格式

last [—R] [—n][－f file][－t tty] [—h 节点][－I —IP][—1][－y][ID]

3.主要参数

- R: 省略 hostname 的栏位
－n：指定输出记录的条数。
－f file：指定用文件file作为查询用的log文件。
－t tty：只显示指定的虚拟控制台上登录情况。
－h 节点：只显示指定的节点上的登录情况。
－i IP：只显示指定的IP上登录的情况。
－1：用IP来显示远端地址。
－y：显示记录的年、月、日。
－ID：知道查询的用户名。

－x:显示系统关闭、用户登录和退出的历史。

 

范例：
＝＝＝＝＝＝＝＝linux环境： Fedora Core 6.0；内核：2.6.18＝＝＝＝＝＝＝＝
#last用了显示用户登录情况。以下是直接显示固定行数的记录。sunson是新建的用户。
#last用了显示用户登录情况。以下是直接显示固定行数的记录。sunson是新建的用户。
[sunson@localhost ~]$ last -6
sunson     pts/2        :0.0             Thu Jul 26 20:48   still logged in  
sunson     pts/2        :0.0             Thu Jul 26 20:21 - 20:21 (00:00)   
sunson     :0                            Thu Jul 26 20:21   still logged in  
reboot   system boot 2.6.18-1.2798.fc Thu Jul 26 20:20          (00:41)   
sunson     pts/2        :0.0             Thu Jul 26 11:16 - 11:46 (00:30)   
sunson     pts/2        :0.0             Thu Jul 26 10:18 - 10:18 (00:00)   
wtmp begins Sun Jul 1 15:17:08 2007
#默认是显示wtmp的记录，btmp能显示的更详细，可以显示远程登录，例如ssh登录。

[root@localhost ~]# last -n 15 -f /var/log/btmp
sunson     :0                            Thu Jul 26 20:21   still logged in  
keox     tty1                          Fri Jul 20 22:27    gone - no logout
np962e76 tty1                          Fri Jul 20 22:26 - 22:27 (00:00)   
keox     tty1                          Fri Jul 20 22:26 - 22:26 (00:00)   
root     :0                            Fri Jul 20 22:22 - 20:21 (5+21:58)  
keox     :0                            Fri Jul 20 22:22 - 22:22 (00:00)   
root     tty1                          Fri Jul 20 20:58 - 22:26 (01:28)   
keox     tty1                          Fri Jul 20 20:58 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
reboot   tty1                          Fri Jul 20 20:55 - 20:57 (00:02)   
root     tty1                          Fri Jul 20 20:54 - 20:55 (00:00)   
root     tty1                          Fri Jul 20 20:54 - 20:54 (00:00)
btmp begins Mon Apr 30 22:05:54 2007

#显示特定tty口的登录，1是tty1的登录情况，看的很清楚的。 np962e76 和 lkdjflkj 和keox其实都没有登
#录成功，我是把密码忘记了。前面两个用户，是根本不存在的，但是也有记录。
[root@localhost ~]# last -n 15 -f /var/log/btmp 1
keox     tty1                          Fri Jul 20 22:27    gone - no logout
np962e76 tty1                          Fri Jul 20 22:26 - 22:27 (00:00)   
keox     tty1                          Fri Jul 20 22:26 - 22:26 (00:00)   
root     tty1                          Fri Jul 20 20:58 - 22:26 (01:28)   
keox     tty1                          Fri Jul 20 20:58 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
reboot   tty1                          Fri Jul 20 20:55 - 20:57 (00:02)   
root     tty1                          Fri Jul 20 20:54 - 20:55 (00:00)   
root     tty1                          Fri Jul 20 20:54 - 20:54 (00:00)   
root     tty1                          Fri Jul 20 20:54 - 20:54 (00:00)   
lkdjflkj tty1                          Fri Jul 20 20:54 - 20:54 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:54 (00:00)   
btmp begins Mon Apr 30 22:05:54 2007

#显示特定用户的登录情况。
[root@localhost ~]# last -n 15 -f /var/log/btmp keox
keox     tty1                          Fri Jul 20 22:27    gone - no logout
keox     tty1                          Fri Jul 20 22:26 - 22:26 (00:00)   
keox     :0                            Fri Jul 20 22:22 - 22:22 (00:00)   
keox     tty1                          Fri Jul 20 20:58 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:54 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:52 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:52 - 20:52 (00:00)   
keox     tty1                          Fri Jul 20 20:52 - 20:52 (00:00)   

btmp begins Mon Apr 30 22:05:54 2007

 

#显示登录登出的记录，-x。
[root@localhost ~]# last -n 15 -f /var/log/btmp keox -x
keox     tty1                          Fri Jul 20 22:27    gone - no logout
keox     tty1                          Fri Jul 20 22:26 - 22:26 (00:00)   
keox     :0                            Fri Jul 20 22:22 - 22:22 (00:00)   
keox     tty1                          Fri Jul 20 20:58 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:58 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:54 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:52 - 20:53 (00:00)   
keox     tty1                          Fri Jul 20 20:52 - 20:52 (00:00)   
keox     tty1                          Fri Jul 20 20:52 - 20:52 (00:00)   

btmp begins Mon Apr 30 22:05:54 2007

#-i显示特定ip登录的情况。跟踪用。
[root@localhost ~]# last -n 15 -i 127.0.0.1 -f /var/log/btmp keox
keox     tty1         0.0.0.0          Fri Jul 20 22:27    gone - no logout
keox     tty1         0.0.0.0          Fri Jul 20 22:26 - 22:26 (00:00)   
keox     :0           0.0.0.0          Fri Jul 20 22:22 - 22:22 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:58 - 20:58 (00:00)  
keox     tty1         0.0.0.0          Fri Jul 20 20:57 - 20:58 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:57 - 20:57 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:53 - 20:54 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:53 - 20:53 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:52 - 20:53 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:52 - 20:52 (00:00)   
keox     tty1         0.0.0.0          Fri Jul 20 20:52 - 20:52 (00:00)   
btmp begins Mon Apr 30 22:05:54 2007

4.提示:

#/var/log/wtmp
/var/log/wtmp文件是二进制文件,该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，增加的速度取决于系统用户登录的次数。该日志文件可以用来查看用户的登录记录，last命令就通过访问这个文件获得这些信息，并以反序从后向前显示用户的登录记录，last也能根据用户、终端 tty或时间显示相应的记录。（来源http://linux.jboke.com/type112/art3/rl4.html）


3.分析日志

    进入/var/log/目录下查看相关日志信息

    网上帖子说查看secure文件，我这里没有，查看了auth.log后发现有一个来自韩国的可疑ip一直尝试登陆，虽然具体看不懂，但是一直显示很多此ip的Failed password 信息。


4.查询IP地址：

    推荐

    http://www.gongju.com/   

    http://tool.chinaz.com/


linux取证——查看用户登录日志
记录并分享学习安全的知识点..
10-20 5543
Linux查看用户登录日志
【linux】Linux查看服务器登陆用户信息命令(w、last、who)详解
喝酸奶舔盖斯基的专栏
04-15 6405
1 背 景 我们在工作或者学习中使用linux服务器的时候，经常会遇到多人共用一台服务器的情形。于是我们可能会有如下需求或者困惑： 是谁在和我共用这台服务器呢？ 是谁正在使用这台服务器导致我不能正常使用呢？ 想对服务器进行关机，需要确认是否有人还在使用这台服务器呢？ …… Linux服务器有提供一些命令能够查看服务器用户信息情况的，包括w、last、who命令，下面我们就分别对这些命令进行详解。 2 命令详解 2.1 w命令 w命令用来查看系统当前的登陆用户信息，包括用户名/IP、登陆时间.
服务器查看登录信息,查看服务器远程登录信息
weixin_28877739的博客
08-09 709
查看服务器远程登录信息 内容精选换一换当您的裸金属服务器无法SSH登录时，我们首先建议您通过控制台远程登录。SSH登录失败时，请首先尝试能否通过管理控制台远程登录裸金属服务器。登录管理控制台。选择“计算 > 裸金属服务器”。选择待登录的裸金属服务器，单击“操作”列的“远程登录”。开始建立连接，大约1分钟后进入登录界面，按“Enter”后输入用户名“root”和密码。单击这里了当云服务器网络异...
linux下查看当前用户登录的命令
都是曾经而已
08-20 5139
1. 使用w命令查看登录用户正在使用的进程信息 w命令用于显示已经登录系统的用户的名称，以及他们正在做的事。该命令所使用的信息来源于/var/run/utmp文件。w命令输出的信息包括： ·        用户名称 ·        用户的机器名称或tty号 ·        远程主机地址 ·        用户登录系统的时间 ·        空闲时间（作用不大） ·     
检查服务器是否被恶意登录
LILAIQUN博客
04-10 844
Ubuntu 1. 查看近期成功的密码登录： grep "password" /var/log/auth.log | grep -v Failed | grep -v Invalid 2. 查看最近登录失败的 IP 和每个 IP 失败次数： awk '{if($6=="Failed"&&$7=="password"){if($9=="invalid"){ips[$13...
【Linux】查看用户登录系统的情况
trichloromethane的博客
07-19 2361
1、last命令的作用是显示近期用户或终端的登录情况。 ①格式：last [-n] [-f file] [-t tty] [-h 节点] [-i IP] [-y] [-x] ②选项及参数说明： -n指定输出记录的条数 -f file：指定用文件file作为查询用的log文件 -t tty：只显示指定的虚拟控制台上的登录情况----终端 -h 节点：只显示指定的节点上的登录情况 ...
【Linux初阶】Linux下用户的新建和删除 | 查看服务器用户数、在线数、当前用户
Captain_ldx的博客
10-06 2447
手把手带你在Linux下创建和删除用户，查看服务器用户数、在线数
查看服务器sftp用户信息,linux查看sftp服务器配置
weixin_42511270的博客
08-06 4462
linux查看sftp服务器配置 内容精选换一换为加强对系统数据的容灾管理，云堡垒机支持配置日志备份，提高审计数据安全性和系统可扩展性。本小节主要介绍如何在系统配置FTP/SFTP服务器参数，将日志远程备份至FTP/SFTP服务器。开启远程备份后，系统默认在每天零点备份前一天的系统数据。以天为单位自动备份，生成日志文件，并上传到FTP/SFTP服务器相应路径。服务器同一路径下，不能重复云堡垒机配置...
ad域服务器用户登录限制,AD域监控用户登录, 活动目录监控用户, AD登录历史审核...
weixin_32334681的博客
07-31 1745
实时监控用户登录操作用户登录到其域计算机是在任何企业都会发生的日常活动。一开始，这看起来可能是一个简单的Active Directory事件，但分配有不同角色的管理员可将这个宝贵的数据用于各种审核、合规和操作需求。企业需要有关“AD用户登录日志”的审核详情以满足以下一个或多个操作需求。验证给定审核间隔/每个月的员工缺勤/出勤。确定在给定时刻可以访问Active Directory网络的用户总数。找...
服务器登录日志信息,服务器登录日志查看
weixin_34991792的博客
08-05 1054
服务器登录日志查看 内容精选换一换为加强对数据的容灾管理，云堡垒机支持手动备份和配置日志远程备份，提高审计数据安全性和系统可扩展性。通过手动导出/下载各功能模块数据文件保存在本地，可手动备份日志请参见表1。系统内导出的csv文件，用Excel打开可能会乱码。若出现乱码情况，请先修改文件编码格式再打开文件，详细说明请参考为什么打开CBH系统数据文件显示乱码？通过配置日志备份系统运行过程中需要记录的日...
linux服务器如何检查远程用户登陆状态、时间、ip地址等信息
java、c++、机器学习方向King
01-09 2346
问题：因为某项目组在同一个服务器上都是用的同一个登录名和密码，所以项目管理上无法做到具体谁对服务器进行了某些操作，现在的需求是能具体到某个研发人员在这个服务器上的操作。公司用的内网，IP地址是动态的，也无法从IP地址确定到某个人。所以能否在研发人员登录服务器时，服务器根据登录者的IP地址直接获取到他电脑的名字，这样就可以跟踪到具体的某个人了。 答：先查看有谁登陆，在查看他的MAC信息 [roo
ECS 服务器远程登陆日志查询方法
hualele的专栏
10-21 1122
本文针对是widows系统操作，详细内容：https://help.aliyun.com/knowledge_detail/40873.html#windows 1、打开事件查看器：点击 开始 - 运行 - 输入并执行 eventvwr.msc 命令，打开 Windows 事件查看器 2、筛选记录：在窗口主界面中，点击 + 号，展开 事件查看器 - Windows 日志 - 安全 - 查
如何查看电脑（服务器）被谁登陆过？
weixin_44123420的博客
08-19 3000
⑤ 先点击【筛选当前日志】，然后选择【记录时间】和填入登录的【事件ID】，如：4624 ， 最后点击【确认】，即可在【日期和时间】下寻找。① 在电脑桌面左下角，鼠标左键点开找到【控制面板】或者 直接搜索【控制面板】⑥ 最后双击打开即可， 就可以看到登录的【计算机名称】和 【详细信息】④ 选择【windows】下的【安全】③ 选择【事件查看器】
linux怎么查看当前的用户,如何在Linux服务器中查看当前登录的用户？
热门推荐
weixin_29019241的博客
04-28 1万+
Linux服务器系统管理员应注意谁当前登录到Linux系统以及他们在做什么。我们已经知道如何在Linux中查找最后登录的用户。您如何确定当前谁在您的Linux系统上登录以及他们在做什么？简单！本教程列出了各种方法来查找Linux服务器中当前登录的用户。1.使用w命令查找Linux服务器中当前登录的用户在Linux服务器系统中，有一个特殊的单字母命令w，该命令可帮助您查找谁已登录以及他们在系统中正在...
Linux命令之查看用户登录信息命令
最新发布
月生的静心苑
10-02 5422
linux系统查看用户登录信息的命令有很多，包括w、who、whoami、users、last、lastb、lastlog、id、finger等。每个命令都可以查看当前登录的用户，但是又各有侧重点。w还可以查看用户正在执行的命令；who可以查看系统的启动时间；finger可以查看指定用户的登录信息；last可以查看历史登录记录等等。这些命令我们只需要基本的了解就行，w命令最简短、简介推荐使用；last命令常用于安全排查。实验环境说明，此命令的使用示例均是在centos7.6操作系统下执行。
关于服务器如何判别不同用户，以及判断用户登录状态执行相应功能
m0_73700925的博客
06-03 1149
关于服务器如何判断不同用户请求
查询sql server 用户登录记录
xijiarj的博客
04-20 2633
SELECT (sd.Name)'数据库',loginame,sp.* FROM。
windows server 查看登录日志
qq_50247813的博客
06-03 7200
点击 “服务器管理器” – > “工具” – > “本地安全策略”审核 成功 和 失败的记录（可以全选也可以选择需要审计的操作）点击 “windows 日志” – > “安全”4672 – 使用超级用户（如管理员）进行登录。点击 “本地策略” – > “点击审核策略”点击 “工具” – > “事件查看器”4647 – 用户启动的注销。4624 --登录成功。4625 --登录失败。4634 – 注销成功。
如何查看服务器用户登录情况
07-27
要查看服务器用户登录情况，可以使用以下命令： 1. 使用 `who` 命令可以查看当前登录到系统的用户信息，包括用户名、登录时间和登录来源。 ``` who ``` 2. 使用 `w` 命令也可以获取当前登录用户的信息，包括...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值